Titre VI – Gestion de la continuité des activités

Les établissements devraient mettre en place un plan de gestion saine de la continuité de leurs activités et de reprise des activités, afin de garantir leur capacité à fonctionner sans interruption et à limiter les pertes en cas de perturbation grave de leurs activités.

Les établissements peuvent instaurer une fonction indépendante spécifique de continuité des activités, par exemple dans le cadre de la FGR⁴¹ .

⁴¹ Voir également l’article 312 du règlement (UE) nº 575/2013.

L’activité de l’établissement repose sur plusieurs ressources essentielles (par exemple les systèmes informatiques, y compris les services d’informatique en nuage, les systèmes de communication, le personnel stratégique et les bâtiments). L’objectif de la gestion de la continuité des activités est de limiter les conséquences opérationnelles, financières et juridiques, le préjudice pour la réputation et d’autres conséquences significatives engendrées par un sinistre ou une indisponibilité prolongée de ces ressources et par la perturbation des procédures opérationnelles ordinaires de l’établissement qui en résulte. D’autres mesures de gestion des risques peuvent consister à réduire la probabilité de ces incidents ou à transférer leur impact financier à des tiers (par exemple en souscrivant une assurance).

Afin de mettre en place un plan de gestion saine de la continuité de ses activités, un établissement devrait analyser avec soin les facteurs de risque liés aux perturbations graves de ses activités, ainsi que son exposition à ces perturbations, et évaluer (sur le plan tant quantitatif que qualitatif) leur incidence potentielle au moyen de données internes et/ou externes ou d’une analyse de scénarios. Cette analyse devrait couvrir l’ensemble des lignes d’activités et des unités internes, y compris la FGR, et tenir compte de leur interdépendance. Les résultats de l’analyse devraient contribuer à la définition des priorités et des objectifs de l’établissement en matière de reprise des activités.

Sur la base de l’analyse susmentionnée, l’établissement devrait mettre en place :

• a. des plans d’urgence et de continuité des activités qui garantissent que l’établissement réagit de manière appropriée aux urgences et qu’il est en mesure de maintenir ses activités les plus importantes en cas de perturbation de ses procédures opérationnelles ordinaires ; et
• b. des plans de rétablissement des ressources critiques permettant à l’établissement de rétablir ses procédures opérationnelles ordinaires dans un délai approprié. Tout risque résiduel lié à des perturbations potentielles des activités devrait être conforme à l’appétit pour le risque de l’établissement.

Les plans d’urgence, de continuité des activités et de reprise des activités devraient être documentés et mis en œuvre avec soin. La documentation devrait être mise à la disposition des lignes d’activité, des unités internes et de la FGR et devrait être stockée dans des systèmes physiquement séparés et aisément accessibles en cas d’incident. Une formation appropriée devrait être dispensée. Les plans devraient être régulièrement testés et actualisés. Tout problème ou échec constaté lors des tests devrait être documenté et analysé et les plans devraient être révisés en conséquence.